RHEL 7:git(RHSA-2017:2004)

high Nessus プラグイン ID 102110

概要

リモートの Red Hat ホストに 1 つ以上の git 用セキュリティ更新プログラムがありません。

説明

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:2004 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

Git は、分散型アーキテクチャを使用した分配型リビジョン管理システムです。クライアントサーバーモデルの集約型バージョン管理システムとは対照的に、GitはGitリポジトリの各作業コピーが、完全なリビジョン履歴を持つ正確なコピーであることを保証します。これにより、ユーザーは公式リポジトリに変更をプッシュする権限を持たなくても、プロジェクトに取り組み、貢献でき、さらにネットワーク接続なしでも作業できます。

セキュリティ修正プログラム:

* git に付属の git-prompt.sh スクリプトが、特殊文字を含むブランチ名を正しく処理できなかったことがわかりました。リポジトリを操作するユーザーがリポジトリ情報をプロンプトに含めるようにシェルを設定した場合、特別に細工された git リポジトリはこの欠陥を利用して、任意のコマンドを実行する可能性があります。(CVE-2014-9938)

* git-shell コマンドの制限付きセットのコマンドラインオプションを git-shell が処理する方法に、欠陥が見つかりました。リモートの認証された攻撃者が、この欠陥を使用して git-shell の制限をバイパスし、細工されたコマンドラインオプションを使用して起動した less コマンドのインスタンスを悪用し、ファイルを表示および操作する可能性があります。(CVE-2017-8386)

追加の変更:

このリリースの変更に関する詳細については、「参照」セクションからリンクされている Red Hat Enterprise Linux 7.4リリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

RHEL git パッケージを、RHSA-2017:2004 のガイダンスに基づいて更新してください。

参考資料

http://www.nessus.org/u?372ac0e1

http://www.nessus.org/u?e109ca23

https://access.redhat.com/errata/RHSA-2017:2004

https://access.redhat.com/security/updates/classification/#moderate

https://bugzilla.redhat.com/show_bug.cgi?id=1369173

https://bugzilla.redhat.com/show_bug.cgi?id=1434415

https://bugzilla.redhat.com/show_bug.cgi?id=1450407

プラグインの詳細

深刻度: High

ID: 102110

ファイル名: redhat-RHSA-2017-2004.nasl

バージョン: 3.13

タイプ: local

エージェント: unix

公開日: 2017/8/2

更新日: 2025/3/20

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

Vendor

Vendor Severity: Moderate

CVSS v2

リスクファクター: Medium

基本値: 6.8

現状値: 5.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2014-9938

CVSS v3

リスクファクター: High

基本値: 8.8

現状値: 7.9

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

CVSS スコアのソース: CVE-2017-8386

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:emacs-git-el, p-cpe:/a:redhat:enterprise_linux:gitweb, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:git-email, p-cpe:/a:redhat:enterprise_linux:gitk, p-cpe:/a:redhat:enterprise_linux:perl-git, p-cpe:/a:redhat:enterprise_linux:git-all, p-cpe:/a:redhat:enterprise_linux:git-bzr, p-cpe:/a:redhat:enterprise_linux:git-daemon, p-cpe:/a:redhat:enterprise_linux:git-svn, p-cpe:/a:redhat:enterprise_linux:perl-git-svn, p-cpe:/a:redhat:enterprise_linux:git, p-cpe:/a:redhat:enterprise_linux:git-hg, p-cpe:/a:redhat:enterprise_linux:git-cvs, p-cpe:/a:redhat:enterprise_linux:git-gui, p-cpe:/a:redhat:enterprise_linux:emacs-git, p-cpe:/a:redhat:enterprise_linux:git-p4

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2017/8/1

脆弱性公開日: 2017/3/20

参照情報

CVE: CVE-2014-9938, CVE-2017-8386

CWE: 78

RHSA: 2017:2004